Microsoft publica una alerta por una vulnerabilidad 0-day en el Kernel de Windows

Cuando Microsoft publica una alerta o boletín fuera de su ciclo habitual de actualizaciones es que algo grave pasa y hoy se ha dado una de esas ocasiones. Microsoft ha publicado un boletín en el que alerta de una vulnerabilidad en un componente del kernel de Windows XP y Windows Server 2003.

Según confirma Microsoft, la vulnerabilidad se está explotando de forma activa en este momento, de ahí la alerta fuera de ciclo. La vulnerabilidad (con CVE-2013-5065) solo afecta a Windows XP y Windows Server 2003 y reside concretamente en que el componente NDProxy.sys del Kernel falla al validar las entradas de forma adecuada.

NDProxy es un controlador proporcionado por el sistema que interactúa con los controladores de minipuerto WAV, administradores de llamadas y administradores de llamadas de minipuerto a los servicios de interfaz de programación de aplicaciones de telefonía (TAPI).

Un atacante local que explote con éxito esta vulnerabilidad podrá ejecutar código arbitrario en modo kernel, es decir podrá instalar programas; visualizar, cambiar o eliminar datos; o crear nuevas cuentas con derechos de administrador. Para explotar la vulnerabilidad, el atacante tendrá que estar autenticado en el sistema.

Microsoft ofrece una contramedida, que aunque no corrige la vulnerabilidad bloquea los vectores de ataque conocidos, por lo que será efectiva al menos hasta que se publique la actualización de seguridad definitiva.

Como recomendación se ofrece el reenrutamiento del servicio NDProxy a Null.sys Desde una consola con permisos administrativos se debe ejecutar:

sc stop ndproxy
reg add HKLM\System\CurrentControlSet\Services\ndproxy /v ImagePath /t REG_EXPAND_SZ /d system32\drivers\null.sys /f

Tras lo que hay que reiniciar el sistema.

Esta contramedida provoca que todos los servicios que se basan en Windows TAPI (Telephony Application Programming Interfaces) dejen de funcionar, esto incluye servicios como Remote Access Service (RAS), conexión de acceso telefónico o VPN (Virtual Private Networking).

Más información:

Aviso de seguridad de Microsoft (2914486)

Una vulnerabilidad en el kernel de Windows Microsoft podría permitir la elevación de privilegios

https://technet.microsoft.com/en-us/security/advisory/2914486

MS Windows Local Privilege Escalation Zero-Day in The Wild

http://www.fireeye.com/blog/technical/cyber-exploits/2013/11/ms-windows-local-privilege-escalation-zero-day-in-the-wild.html

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero